论文一链接：CLIFT: Conformal Self-Verification for Web Agent Training and Test-Time Scaling 论文二链接：LEASH: Uncertainty-Aware Weak-to-Strong Escalation and Oversight for Computer-Use Agents 发表时间：2026 年 10 月（CLIFT：10 月 5 日；LEASH：10 月 15 日） 机构：CLIFT 为 Salesforce AI Research（单一企业，6 位作者）；LEASH 为 Simular（企业）+ University of Wisconsin–Madison（高校），一作与三作为 Simular 实习生期间完成——企业 + 高校实习合作模式，Simular 提供场景与算力、UW-Madison 提供不确定性估计方法论（Sharon Li 组）。 领域标签：cs.CL / cs.AI —— web/computer-use agent、RLVR、测试时扩展、不确定性估计

验证与监督的双视角：合读导言

把两篇论文放在一起读的理由只有一个：agent 的能力上限越来越不取决于执行者本身，而取决于围绕执行者的验证与监督系统。CLIFT 一句话概括：训练 web agent 时，二元成功信号太稀疏、前沿 LLM judge 太贵且部署时不可得，那就把 judge 的反馈蒸馏成一个保形校准过的自然语言验证问题库，训练时当密集奖励用、测试时当免 judge 的轨迹选择器用。LEASH 一句话概括：computer-use agent 全程跑前沿模型太贵、小模型单独跑又太弱，那就用弱模型自己隐藏状态里的不确定性信号决定何时交给强模型，交接之后还继续用同一信号盯着强模型。一个解决『谁来验证、验证可信吗』，一个解决『何时升级到更强模型、升级后谁盯着』——恰好是 agent 监督链条上前后相邻的两环。

一、论文背景：为什么验证成了瓶颈

1.1 Web agent 训练的奖励困境（CLIFT 的出发点）

开源 web agent 已经强到能操作真实浏览器界面，但用强化学习继续提升它们时，验证器（verifier）成了瓶颈。两条老路都有硬伤：

• 二元结果信号（RLVR/GRPO 路线）：任务成功记 1、失败记 0。问题是太稀疏——当 GRPO 一个 group 的所有 rollout 都拿到同一结果时，组内优势估计直接坍缩，模型学不到任何东西。而 web 任务动辄几十步交互，哪一步该记功、哪一步该背锅（credit assignment）无从谈起。
• 前沿 LLM judge（LLM-as-judge 路线）：让 Claude Opus 级别的模型逐步打分，反馈确实丰富，但训练时每个 step 都调用一遍成本爆炸，而且部署时根本不能假设有这样强的 judge 可用。

CLIFT 的关键设问是：judge 的反馈能不能被蒸馏成一个 agent 可以随身携带的可复用验证器——而不是像过程奖励模型（PRM）那样再训一个模型，或像 best-of-N 那样只在事后挑一次轨迹。

1.2 Computer-use agent 的成本困境（LEASH 的出发点）

Computer-use agent（CUA）要操作真实图形界面完成任务，长程任务平均耗时超过一小时。这里的老路同样有硬伤：

• 全程前沿模型：准确但贵。跑数百步的 Opus 级模型，单任务成本难以接受。
• 全程轻量开源模型：便宜但弱，简单任务都常失败。

弱到强升级（Weak-to-Strong Escalation, W2SE） 是折中方案：弱 agent 默认执行，只在必要时把控制权交给强 agent。但它引出两个新问题：(1) 何时升级？ 现有方案要么额外跑一个监控 agent 逐步验证（又是重模型开销），要么训练专门的监测器（需要标注数据和训练阶段）；(2) 升级后谁监督？ 强 agent 也会陷入循环动作或多轮迷失，而黑盒 API 不暴露内部状态，口头置信度（verbalized confidence）在长程演化上下文中已被证明不可靠。

LEASH 的关键设问是：弱模型自己身上有没有一个免费的信号，既能决定何时升级，又能在交接后继续监督强模型？

1.3 两篇论文共享的深层背景

两条战线背后是同一个趋势：监督信号的生产方式正在从『当场调用更强模型』转向『积累与校准可复用的监督资产』。CLIFT 积累的是保形认证的问题库（judge 教会 agent 该注意什么），LEASH 积累的是带成败标签的隐藏状态表征库（弱模型自己走过的路成为参照系）。两者都强调：信号必须便宜到每步都查得起、校准到可信程度可量化。

二、论文定位和关联工作

2.1 CLIFT 的研究脉络

CLIFT 站在四条线的交叉口：

论文的 Table 1 用六维（Dense / URL / Cert. / J-free / TTS / Xfer）对照六类前序方法，结论是没有任何先前方法同时满足六项。这个『首个用保形校准验证问题』的定位声明基本成立：保形预测此前确实没有和『自然语言验证问题库』这个对象结合过。

2.2 LEASH 的研究脉络

LEASH 的定位声明更谨慎：Mahalanobis 表征不确定性本身是 OOD 检测文献的老工具，它的新颖性在于单一潜在不确定性信号同时驱动升级（escalation）与交接后监督（oversight）的统一框架，外加 LDA/Neyman–Pearson 的理论刻画。

2.3 双定位对照

三、问题定义

3.1 CLIFT 的抽象：把一次性反馈变成可校准的持久接口

具体问题：web agent 的 RL 训练需要逐步奖励，但唯一丰富的信号源（LLM judge）太贵且部署时不存在。 抽象问题：给定一个训练时可用但部署时消失的昂贵评分函数 R_judge，如何构造一个轻量代理验证器 V，使得 (1) V 与 R_judge 在可验证的统计意义上对齐（校准）；(2) V 在训练时能细化信用分配、在部署时能独立执行选择（复用）；(3) V 对自身不可靠的子信号有拒绝服务机制（安全）。

形式化：维护问题库 Q，每个问题 q 带 URL 模式 π_q 与极性 σ_q∈{+1,0,-1}（进步/失败/模糊）。求：给每个 (q, URL 层级 τ) 赋一个符号信任权重 w，使认证后的问题在 URL 状态 u 上的聚合分 R^VQ(u) 与 judge 高低分轨迹可分。约束：训练侧证据只能加强不能削弱 judge 基线（非对称混合）；测试侧选择不能调用外部 judge。

精妙之处在于校准的对象是问题而不是输出——『这个问题在列表页上可靠吗』比『这条轨迹成功了吗』是一个更容易统计验证、也更容易跨基准迁移的命题。

3.2 LEASH 的抽象：预算约束下的最优停止

具体问题：CUA 任务该由弱模型还是强模型执行，何时切换，切换后怎么办。 抽象问题：给定弱执行器（白盒，隐藏状态可读）与强执行器（黑盒），共享动作预算 T，求升级策略 π 最大化任务成功期望，约束总升级率 Pr(t_esc < T) ≤ p_esc。

求：一个每步可计算、无需训练的标量信号 u_t，使得按 u 升级在同预算下捕获的『弱模型会失败的任务』最多。约束：信号计算复用动作生成时的激活（零额外前向）；交接后同一信号还能监督黑盒强模型。

命题 1 给了这个信号的最优性刻画：在高斯共享协方差假设下，LEASH 的距离差分数 u(z) 恰好等于（差常数倍的）弱模型失败的 log-odds（Lemma 1），因此按 u 取 top-p 分位升级，在同预算的任意基于同一表征的规则中捕获的失败最多（Neyman–Pearson 交换论证）。这个理论诚实地只覆盖初始门——运行时门的最优停止分析留作未来工作。

四、问题解法

4.1 CLIFT：Compositional Conformal Certifier + Conformal Trajectory Selection

组件一：验证问题与自验证器。验证问题（VQ）是关于 agent 行为的 YES/NO 检查，例如『agent 是否到达了至少一个包含任务相关内容的页面？』。agent 的基座模型（detach 掉任务 LoRA）在 rollout 的每个 URL 状态回答适用的问题。

组件二：保形认证（这是超越 prompt 工程的部分）。同一个问题在不同 app 上可靠性可能完全不同，所以 CCC（Compositional Conformal Certifier）为每个问题维护三层 Mondrian 自适应保形追踪器（global / host / URL-path），非一致性分数是极性感知的：正向问题在 YES 与高分 judge 一致时保形，负向问题在 YES 与低分一致时保形。认证条件（Eq.3）要求样本量 n≥50、错误率 α<0.10、|lift|>0.02 且极性非零；认证后赋符号信任权重 w = σ·|lift|·max(0, 1-α/α*)（Eq.4）。同一套 lift 估计还兼任极性纠错：若观测 lift 与标签极性矛盾且足够大，问题被降级为中性（sanity veto，Eq.5）——错误的问题不会悄悄混进奖励里。

组件三：训练侧非对称奖励混合。每任务一次比较 judge 调用打分整组 G=8 个 rollout；同时自验证器回答库中问题。逐步奖励 r̃ = r_judge + β·max(0, R^VQ(u))（β=0.15）——max(0,·) 截断保证验证证据只能加强、不能拖垮 judge 基线，这直接避免了早期线性混合的奖励坍缩失败模式。随后按 (rollout 组, 步位置, URL 状态) 单元归一化优势（URL 分层），信用分配变成 URL 局部的。

组件四：CEGAR 式问题库增长。每 60 个训练步，用 judge 的理由（rationale）提出 3-5 个针对当前库无法区分的 top/bottom rollout 的新问题；新问题以未认证状态入库，靠数据说话赢得信任权重。

组件五：测试时 CTS。部署时丢掉外部 judge。策略产出贪心 incumbent ρ_A 与若干多样重试 ρ_B；冻结的问题库为每条轨迹生成逐 URL 的结构化证据表（问题、权重、lift、YES 概率），自验证器做成对比较投票（m=3 次独立调用），保守多数规则：只有过半票投 B 才换轨，平局与不确定一律保留贪心。理论上若库条件化的比较好于随机，E[SR(CTS)] ≥ E[SR(ρ_A)] - ε。训练与测试共享同一个抽象对象：逐 URL 状态的认证库证据。

组件六：库的构造规模与代表性认证问题。WAI 种子库 281 题、VWA 种子 89 题，经 CEGAR 增长后候选库分别达 992 与 1,565 题，最终保下非零信任权重的只有 44 与 21 题——认证是大浪淘沙，绝大多数问题被数据淘汰。附录给出的六个代表性认证问题能直观说明什么样的检查能活下来：

认证器奖励三种性质：问题能区分高低分轨迹（正 lift）、基座模型能从轨迹上可靠答出（而非细到 LoRA 分离的基座读不出）、YES/NO 方向与极性标注一致。过于绑定单一页面 UI 细节的问题会被极性否决规则淘汰——这正是库能跨基准迁移的先决条件。

4.2 LEASH：一个距离差信号，三层门控

组件一：表征参考库。在小规模 held-out 任务集上（与评测任务不相交），跑弱 agent 收集轨迹，抽两类末层隐藏状态：查询级 h_0（任务首请求最后一个 prompt token，prefill 期间读取，一 token 生成限制）与动作级 h_t（每步最后一个生成 token）。查询库用任务级 Pass/Fail 标注；动作库用 Manager agent（Claude Opus 5）判定的子目标段结果标注——子目标分解让逐步监督继承比任务级更细的标签。

组件二：不确定性分数。对每个通道拟合共享协方差高斯判别模型（pooled LDA）：标准化后，分数 u(h) = d²_Pass(h) - d²_Fail(h)，即到失败类的 Mahalanobis 距离减去到成功类的距离（论文 Eq.3 定义为 d²_Pass - d²_Fail，值越大表示离失败越近）。岭参数 λ 按任务分组 10 折交叉验证 AUROC 选取——按任务分组是关键细节：不分组会因同轨迹步骤间泄漏产生 0.997 的虚假 AUROC。

组件三：双层升级门。初始门 g_0 = I(u_q(h_0) > τ_q) 在任务开始时路由明显超出弱模型能力的任务；运行时门 g_t 监控每个动作。阈值按分位数校准到升级预算：p_q=0.25 初始升级率、p_esc=0.50 总预算，运行时门管剩余任务所以 p_a=(0.50-0.25)/(1-0.25)=1/3。打分复用动作生成已产生的激活，零额外前向。

组件四：影子监督（Shadow oversight）。交接后弱模型从演员转为观察者：把强 agent 已执行的每一步以弱模型自己的动作格式追加进历史，每 3 步让弱模型生成候选动作并抽取影子表征 h_sh，计算 u_sh = u_a(h_sh)。前提假设：弱模型的高不确定性平均而言也预示强模型处境困难（引 Kale et al. 2026; Pan et al. 2026 支持）。u_sh 超过 90 分位阈值时触发干预：丢弃强模型待执行动作，插入中性 CHECKPOINT 提示，让强模型以更高推理力度重决策——弱模型的候选动作被刻意排除在提示外，避免弱模型误导强模型。每任务最多 6 次干预、2 次实际改变动作后停止。

影子探测的工程细节体现了对成本与干扰的控制：探测调用弱模型自己的动作生成例程（常规系统提示、工具 schema、图像历史俱在）但不调用 Manager；候选动作只记日志用于分析，从不执行也不给强模型看；CHECKPOINT 消息是中性的（问『当前方法还能完成吗』而非断言『你已停滞』），明确允许继续当前方案——干预的目标是促使反思而非强行纠偏。强模型对话被截断到当前步开始时的长度，待执行动作被移除后重决策。

4.3 机制对照表

五、评估指标与实验证据

5.1 CLIFT：三个基准，三重证据递进

评估设计逻辑：WAI（程序化验证器、可训练）→ VWA（结果型验证、库迁移到闭源模型）→ OM2W（真实 web、零策略训练纯迁移），监督强度依次递减，检验同一问题库的复用性。

WebArena Infinity（WAI）9-app 公榜（Table 3/6，成功率，无百分号）：

消融的证明力在步数分解：vanilla GRPO 提升 2.9 点却把成功轨迹平均步数从 15.4 拉到 18.5；CLIFT 拿到 10.8 点提升的同时步数反而降到 16.0，CTS 再加 2.0 点且步数降至 15.5（换轨率 17.8%，5 提升/4 持平/0 回归）。这排除了『更长交互=更多碰巧成功』的替代解释——增益来自更准的信用分配，而非更多探索。

VisualWebArena（VWA）库迁移（Table 4，加权均值）：GPT-5.5 权重冻结，仅挂上 Gemma-4 训练时学到的问题库 + CTS：GPT-5.5+CLIFT 48.5 → +CTS(K=4) 53.7，超过已发表最强 WALT 的 52.9，三环境全升。Human 88.7 仍远高于所有 agent——作者诚实强调的不是『VWA 被解决』而是『开源模型训练时学到的验证知识能迁移给闭源执行器』。

Online Mind2Web（OM2W）零训练纯迁移（Table 5/8）：无任何策略在 OM2W 上训练，问题库翻译+再校准后 132 题中 100 题认证（75.8%，75 正 lift/25 负 lift，平均 lift 0.34）。实测：GPT-5.5 high 49.7 → 61.0（+11.3，K=4）；Gemma-4 40.0 → 45.0，反超 GPT-5.5 low-effort 基线 43.7。Sonnet 交叉判分 61.7 排序一致。每个 +CTS 行每任务只输出一条选定轨迹，不是 oracle 并集——这是测试时扩展主张能否成立的关键记账细节。

迁移库的构成明细（Table 7）值得细看，它回答了『到底什么在迁移』：

注意不对称性：WAI 问题保留率 100%（7/7）、VWA 原样保留只有 40%（4/10）——VWA 的 Docker 环境问题更绑定特定站点结构，改写后认证率回升到 68%（26/38）。为 live-web 新增的失败模式问题（bot 拦截页、幻觉抽取、部分过滤应用、错误停止）有 75% 认证率，说明失败模式检查在新域同样有判别力。

5.2 LEASH：OSWorld 四骨干 + 等率对照

核心对照设计：与随机升级在相同升级率下比较（10,000 次随机分配取均值），这是证明『信号有用而非多用强模型』的必要条件。

四个配置等率下超随机升级 6.55–11.94 pp；恢复弱强差距 75–102%（随机仅 37–69%），成本为 always-on Opus 的 69–81%。旗舰结果：Qwen3.5-35B 配置 73.66% ≈ 72.90%（Opus）而成本低 19.2%；等成本下比随机路由高 9.1 pp。与已发表方法比（EvoCUA-8B）：StepWise 58.40（49.6% 升级）、Progress Advantage 62.98（46.9%）vs LEASH 67.18（45.4%）。

机制消融（Qwen3.5-35B）：单独弱模型 37.40 → +Manager 41.15 → +升级门 67.94 → +Shadow 73.66。Shadow 的价值在困难子集上最清楚（Table 5）：触发 Shadow 的任务上 Opus 单独跑也只有 51.6% 成功——说明影子门确实瞄准了升级后仍困难的轨迹，该子集 Shadow 64.5% vs 无 Shadow 48.4%。

信号质量（AUROC）：运行时通道 pooled LDA 在两个受测骨干上均最高（0.609/0.575），好于概率统计量与 kNN；但绝对值只是中等，且初始通道在 Qwen3.8-27B 上概率法反而更强（0.671 vs 0.600）——作者如实承认估计器的有效性依赖骨干与阶段。参考库从 40 涨到 99 个任务，AUROC 从 0.701 升到 0.770，说明库可随经验增长复利。

升级时机实验（Figure 5）：在易升级子集上，LEASH 64.6%@$0.67 vs 打乱时机 60.4%@$0.79——不仅选对任务，还要在对的时刻交接（+4.2pp 且 -15% 成本）。

论文附录 D 的三个升级案例研究揭示了信号触发时刻的定性规律：弱 agent 的失败模式是在无效策略上打转（反复点击无响应的宏界面 8 次、开-看-关照片循环、23 步只浏览不安装），而交接后强 agent 的价值不是『接着做』而是换赛道——三个案例分别转向终端 python-pptx 脚本、键盘多选、终端安装策略。这解释了为什么升级时机重要：早一步交接省掉的是弱模型在死路上的动作预算，晚一步则可能预算耗尽。

六、效果优势的根源解释

6.1 CLIFT 的因果链

对比对象：vanilla GRPO（同 judge、同 browser-use 栈，只差认证问题库）。 baseline 根本局限：轨迹级标量奖励在 GRPO 组内经常同值 → 优势坍缩；即便 judge 给步级分数，也是全局的、一次性的、不可复用的——训练结束信号就消失。 因果链（标注证据等级）：

1. judge 反馈被改写为『URL 范围+极性+保形信任权重』的问题库 → 一次性轨迹分数变成可审计、可再校准的持久资产【论文实验支持：OM2W 上 100/132 题再认证】；
2. 非对称混合 max(0,·) 保证验证证据只加不减 → 消除线性混合的奖励坍缩模式，信任权重不可靠的题目在源头就被零权重化【论文声明+机制设计，未单独消融该项】；
3. URL 分层优势归一化使信用分配局部化 → 同样的交互步数获得更精准的逐步信号【论文实验支持：16.0 步 vs vanilla 的 18.5 步，排除更长交互解释】；
4. 测试侧同一冻结库做保守多数投票 → E[SR(CTS)]≥E[SR(ρ_A)]-ε 的无回归选择【论文实验支持：0 app 回归、17.8% 换轨率】。

外部交叉验证：『过程奖励优于结果奖励』的结论与 Lightman et al. 2024（Let’s Verify Step by Step）、Cobbe et al. 2021（verifiers for math）一致；但 CLIFT 相对 PRM 路线的差异点——不训验证器而是校准问题——在本次检索范围内（论文自证六维对照+其 Related Work）未见完全相同的先前工作，属论文声明的空白区。自适应保形追踪的有效性有 Gibbs & Candès 2021 的理论背书。限定条件：保形认证依赖 judge 的系统性无偏——若训练 judge 有系统偏差，校准只能通过观测数据发现分歧，论文自己承认这一点。

6.2 LEASH 的因果链

对比对象：等率随机升级。 baseline 根本局限：随机分配只能捕获恰好 p 比例的弱模型失败任务，与信号无关，纯碰运气。 因果链：

1. 隐藏状态确实编码了成败概率【外部证据：Kadavath et al. 2022、Azaria & Mitchell 2023、Kossen et al. 2024 的探针类工作】；
2. 共享协方差 LDA 下，距离差分数 = 失败 log-odds 的仿射函数（Lemma 1，数学恒等式，无需分布假设的拟合版展开 + 高斯假设的总体版解释）→ 按分数 top-p 升级在同预算规则中最优（命题 1，Neyman–Pearson 交换论证）【理论+实验双重支持：等率下 +6.55~11.94pp】；
3. 升级预算花在收益最大处 → 弱强差距恢复 75–102% vs 随机 37–69%【论文实验支持】。

必须标注的弱点：命题 1 的 (ii) 需要『升级收益 Δ 随分数单调不减』的假设——当弱强模型在同一任务上都挣扎时该假设失效，作者在 Limitations 中明确承认；Shadow 监督依赖『弱模型不确定性可代理强模型困难度』的假设（引 Kale et al. 2026; Pan et al. 2026 旁证，但非直接证明），且干预效果未做因果隔离；运行时 AUROC 0.575–0.609 只是中等——分数排序有用不等于分数精确，分位数校准恰好只依赖排序，这是设计与信号质量的聪明匹配。

相反结论的文献警示：Vasudev et al. 2026（arXiv:2602.03338）发现准确的失败预测并不蕴含有效的失败预防——这直接挑战『检测到高不确定性→干预→改善』的因果链。LEASH 的 Table 5 子集分析（触发子集 64.5% vs 48.4%）是相关性证据，但缺少『触发而不干预』的对照臂，干预的净因果效应确实未隔离。此外 Laban et al. 2026（LLMs get lost in multi-turn）为『强模型也会迷失』提供了 LEASH Shadow 设计必要性的独立佐证。

6.3 综合判断

两项工作共同支持的一个机制判断：监督信号的可信度管理（校准/分位数）比信号的绝对精度更重要——CLIFT 用保形认证把不可靠问题拒之门外，LEASH 用分位数只取排序信息。多研究支持的机制：过程/步级信号优于轨迹级标量（CLIFT 消融、LEASH 消融、Lightman et al.）；仍属推测的机制：CLIFT 的『问题库是跨模型可迁移知识而非 benchmark 局部 prompt』只有 VWA/OM2W 两点迁移证据；LEASH 的 Shadow 干预净效应。适用条件：两者都在各自单一域（web / computer-use）验证，跨域普遍性未证。

七、必要知识反推

假设一个完全没有背景的人要复现这两项工作，最少需要掌握：

领域知识层：web/computer-use agent 的基本运作（浏览器动作空间、accessibility 快照、URL 状态结构）；GRPO 的组相对优势机制——不理解组内同值导致优势坍缩，就无法理解 CLIFT 为什么需要更密的信号和 URL 分层；OSWorld/web 基准的评测协议（为什么每任务只输出一条轨迹的记账规则是可比性的生命线）。

方法论知识层：保形预测原理（非一致性分数、有限样本覆盖保证、自适应保形推断应对分布漂移、Mondrian 分层条件化）——CLIFT 的认证器是这套理论的直接工程化；Fisher 线性判别与 Mahalanobis 距离、Neyman–Pearson 引理——LEASH 的分数设计与最优性证明全是经典统计的复用；OOD 检测文献（Lee et al. 2018、Ren et al. 2021）的改良谱系；LLM 隐藏状态编码成败的探针类证据链。

工程知识层：分布式 RL 训练栈（CLIFT 用 16 个 LoRA shard、8 节点 8×H200，shard 适配器逐元素平均后合并）；任务合成与防污染（CLIFT 的四段过滤、评测集只在训练全完成后由只读评估器加载）；token 级成本核算（LEASH 的成本表涵盖弱模型、Manager、强执行器与监控调用全部开销）；任务分组交叉验证（LEASH 发现不按任务分折会产生 0.997 的泄漏 AUROC——这是表征类方法最容易踩的坑）。

知识融合的关键节点：CLIFT 的创造性节点是把 CEGAR（形式验证的反例引导精化） 的循环结构移植到问题库增长上——judge 的拒绝理由不是废物而是新问题的种子；LEASH 的创造性节点是把弱模型从『被替换者』重构为『交接后的观察者』——升级不是弱模型使命的终结而是角色转换，同一表征库从打自己变成打别人。两个节点都来自把一个领域的老工具以新的作用对象重新组合，而非发明全新工具。

八、论文中可以提取的通用性灵感

灵感一：校准验证器本身，而不是校准输出。CLIFT 证明可以把『哪些检查项可信』做成统计认证对象（URL 范围+极性+信任权重），不可靠的检查自动失权。推广场景：数据管线的质量检查规则库（哪条规则在哪个数据源上可信）；法规合规检查清单的分区认证；自动化测试用例的信任分级；医疗诊断清单问题的可靠性分层。

灵感二：昂贵监督的一次性消费 → 资产化复用。CLIFT 的 judge 分数只消费一次，产出的问题库可以在训练后、跨模型、跨基准、跨开闭源继续服务。推广场景：专家评审意见结构化为可复用 rubric；安全审计结论沉淀为带作用域的检查规则；code review 的评论蒸馏为团队 lint 规则库；客服质检的判例库。

灵感三：非对称证据混合——只加不减。max(0,·) 截断让辅助信号只能加强主信号不能拖垮它，配合保守多数投票（平局保默认），构成双层防退化设计。推广场景：金融风控的辅助信号叠加（新特征只能提高不降低主评分）；推荐系统的兜底策略（新模型只有在反复证实时才替换 incumbent）；任何『引入新信号但怕它比现状更糟』的决策系统。

灵感四：白盒弱模型可以监督黑盒强模型。LEASH 的 Shadow 监督证明：读不了强模型内部状态没关系，把强模型的历史动作翻译成弱模型自己的上下文，用弱模型的表征测自己的不确定性即可。推广场景：开源小模型监控闭源 API agent 的执行质量；端侧模型作为云端模型的故障哨兵；用可解释模型审计黑盒模型的输出流（弱模型哪里困惑，黑盒模型大概率哪里有问题）。

灵感五：分位数校准让中等精度信号变得可用。LEASH 的 AUROC 只有 0.6 左右，但阈值只需要排序信息，预算控制 therefore 精确。启示：不要因为信号绝对精度不足而丢弃它，问自己决策真正需要的是排序还是标定。推广场景：A/B 测试的早期停止信号；传感器异常检测的预算分配；模型路由的置信门控。

灵感六：自己的历史是最便宜的监督数据。LEASH 的表征库来自弱模型自己的成败轨迹，无需外部数据集与标注训练；CLIFT 的问题库来自 judge 对自己 rollout 的理由。两者共同指向：agent 的执行副产物（激活、理由、URL 轨迹）本身就是监督信号的原材料。推广场景：机器人遥操作的失败回放库；RAG 系统用自身检索日志构建质量参考；任何长尾运维系统的故障指纹库。

加评（合读短评）

两篇论文放在一起，恰好覆盖了 agent 监督链的两个断点：CLIFT 补的是『反馈→训练→部署』的断点（judge 的知识以问题库形式穿过训练/测试边界，甚至穿过开/闭源边界），LEASH 补的是『弱→强→失控』的断点（一个免费信号贯穿升级前后，弱模型全程在场）。两者的共同哲学值得记住：不要在场外雇更贵的裁判，要把裁判的知识和自己的直觉都做成可校准、可复用、可审计的轻量资产。

也要保持清醒的怀疑：CLIFT 的六维对照表是作者自制的坐标系，『迁移成功』的 VWA/OM2W 证据仍限于 web 域内的两个亲戚基准；LEASH 的理论最优性只覆盖初始路由门，Shadow 干预的因果净效应没有对照臂——Vasudev et al. 2026 的警示（预测准不等于防得住）是这条线上最值得跟踪的反方证据。若后续有人把 CLIFT 式保形认证问题库装进 LEASH 式升级框架——用认证问题而非隐藏距离来决定何时升级——那将是这两条线合流的自然方向。